Nodemailer-mailgun-transport: नेटमास्क प्लगइन में उच्च गंभीरता भेद्यता

अरे, मैंने नेटमास्क के गैर-असुरक्षित संस्करण का उपयोग करने के लिए package-lock.json को पैच करने का प्रयास किया - मुझे लगता है कि यह काम कर गया? मुझे बताएं कि आप अभी क्या देख रहे हैं :)

एक साफ चेकआउट में मेरे लिए तय लग रहा है + npm install

मैं इसे अभी भी yarn audit माध्यम से एक प्रोडक्शन प्रोजेक्ट में देख रहा हूं, हालांकि, मुझे संदेह है कि इसे प्रकाशित नहीं किया गया है

@anachronic मैंने 2.0.3 रूप में प्रकाशित किया - https://www.npmjs.com/package/nodemailer-mailgun-transport

जाहिरा तौर पर नोडमेलर-मेलगन-ट्रांसपोर्ट आईडी अब गैर-आधिकारिक मेलगन लाइब्रेरी का उपयोग कर रहा है? क्या यह "आधिकारिक" संस्करण के लिए एक आसान स्वैप है? ऐसा लगता है कि उचित निर्भरता "mailgun.js" होनी चाहिए और फिर इससे सुरक्षा भेद्यता कम हो जाएगी (और उम्मीद है कि भविष्य के मुद्दों के लिए मदद मिलेगी)। यहां चर्चा: https://github.com/mailgun/mailgun-js/issues/122

हाँ, बस निर्भरता बदलें और आधिकारिक पुस्तकालय के लिए उपयोग किए जाने वाले कोड के कोड को फिर से लिखें।
आधिकारिक प्लगइन: https://www.npmjs.com/package/mailgun.js
पदावनत प्लगइन: https://www.npmjs.com/package/mailgun-js (इसका मेलगन डॉक्स में संदर्भित है, इसलिए भ्रम है)

आधिकारिक उपयोग '...require=('mailgun.js) के विपरीत ...require('mailgun-js')

थक गए, लेकिन आशा है कि यह एक tldr था

@zhyrin का अनुमान है कि किसी को यह देखने के लिए कुछ शोध करना होगा कि कितना कोड पुनर्लेखन की आवश्यकता है

रुचि नहीं

@zhyrin का अनुमान है कि किसी को यह देखने के लिए कुछ शोध करना होगा कि कितना कोड पुनर्लेखन की आवश्यकता है

क्या #104 इसके लिए ठीक नहीं है?

रुचि नहीं

महान! कम से कम आप इस बारे में ईमानदार हैं कि आप ओपन सोर्स को कैसे पसंद करते हैं

क्या #104 इसके लिए ठीक नहीं है?

मुझे देखने दो

ऐसा लगता है कि मेल गन का नवीनतम संस्करण अभी भी असुरक्षित है? https://snyk.io/advisor/npm-package/mailgun-js

@omerlh हमने दूसरे को अपग्रेड कर दिया है - वह एक पदावनत है

कौनसा? मैं देख सकता हूं कि नवीनतम संस्करण अभी भी असुरक्षित है: https://snyk.io/advisor/npm-package/nodemailer-mailgun-transport

मेरा मानना ​​​​है कि यह मास्टर में हल हो गया है (देखें # 104), हालांकि, 2.0.3 (प्रकाशित अंतिम संस्करण) फिक्स से पहले अंतिम प्रतिबद्धता को इंगित करता है।

हालांकि मुझे यकीन नहीं है, शायद एक नया संस्करण प्रकाशित करने से यह हल हो जाता है?

@orliesaurus क्या हम @anachronic के बिंदु के आधार पर एक नई रिलीज़ प्राप्त कर सकते हैं?

हाँ, मुझे निश्चित रूप से उस अद्यतन को आगे बढ़ाने की आवश्यकता है जो मास्टर में है! धन्यवाद आप सब!

इस संस्करण टक्कर पर कोई समयरेखा? नवीनतम संस्करण को मास्टर में अपडेट करने से पहले क्या इस टिकट को बंद कर देना चाहिए?